Google затачивает Gmail под борьбу с фишингом и спамом по теме COVID-19

Google затачивает Gmail под борьбу с фишингом и спамом по теме COVID-19

Google затачивает Gmail под борьбу с фишингом и спамом по теме COVID-19

Google приспосабливает модели машинного обучения для защиты Gmail от мошенников, киберпреступников и правительственных хакеров, эксплуатирующих тему пандемии новой коронавирусной инфекции COVID-19.

Многие специалисты в области кибербезопасности обращают внимание на возросшее количество фишинговых писем, в которых фигурирует тема COVID-19.

Сам Google, например, на прошлой неделе заблокировал 18 миллионов фишинговых писем с темой коронавирусной инфекции. Что касается COVID-спама, то здесь всё ещё хуже — каждый день интернет-гигант отсекает 240 млн таких сообщений.

Само собой, такая ситуация вынуждает корпорации вроде Microsoft и Google адаптировать защиту своих продуктов. Основная задача — уберечь пользователей от постоянно видоизменяющихся вредоносных писем, авторы которых стараются нажиться на непростой эпидемиологической ситуации в мире.

Аналитики Google отметили растущее число электронных писем, имитирующих уведомления от Всемирной организации здравоохранения (ВОЗ). Как правило, мошенники пытаются заставить жертв перевести на их счёт средства или распространяют вредоносные программы.

На прошлой неделе команда Group-IB подсчитала, что 65% фишинговых писем с темой COVID-19 доставляют шпионские программы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Уязвимость в OpenSSH: имена пользователей позволяют выполнить код

Исследователь безопасности Дэвид Лидбитер обнаружил уязвимость в OpenSSH — CVE-2025-61984 — которая демонстрирует: даже мелкие особенности парсинга команд и поведения shell могут привести к удалённому выполнению кода.

Суть проблемы проста и неприятна: в OpenSSH (до версии 10.1) контрол-символы в именах пользователей, полученных из ненадёжных источников, могли не отфильтровываться.

Когда такое «имя» подставлялось в ProxyCommand (через переменную %r), OpenSSH формировал строку для exec, которую запускал через shell. Если в этой строке оказывались символы вроде $[ и символы новой строки, некоторые оболочки (например, bash) могли интерпретировать это так, что первая команда аварийно завершается, а затем выполняется то, что идёт после — то есть возможна инъекция команды.

Эксплуатация требует специфической связки: конфигурация, использующая ProxyCommand с %r, уязвимая оболочка и «входной» источник имени пользователя, который злоумышленник контролирует. Практический пример — злоумышленный .gitmodules, где в URL подставляют строку вроде:

[submodule "foo"]
  path = foo
  url = "$[+]\nsource poc.sh\n@foo.example.com:foo"

Если SSH-конфиг содержит строку вроде

ProxyCommand some-command %r@%h:%p

и вы запускаете git clone --recursive, то в подходящих условиях может выполниться source poc.sh — до установления самого соединения.

Важно понимать: условия для успешной атаки нишевые, но реальны — инструментальная цепочка Git → SSH → shell и автоматизация (CI/CD) дают атакующему много точек входа. Проблема усугубляется тем, что OpenSSH фильтровал многие метасимволы, но пропустил $ и [ — и это создало неожиданный вектор.

Исправление уже включено в OpenSSH 10.1: разработчики начали проверять и запрещать управляющие символы в именах пользователей через iscntrl() в ssh.c. То есть долгосрочное решение — обновиться до 10.1 или новее.

Если обновиться сразу нельзя, Лидбитер предлагает два практических временных шага. Во-первых, брать имя пользователя в одинарные кавычки в ProxyCommand, чтобы предотвратить подстановку:

ProxyCommand some-command '%r@%h:%p'

(Обратите внимание: одинарные кавычки нужны именно потому, что двойные не защитят от $[ — оболочка всё ещё будет их обрабатывать.) Во-вторых, по умолчанию отключить SSH-подмодули в Git и не позволять автоматические URL-хендлеры, которые могут передавать непроверенные SSH-команды:

git config --global protocol.ssh.allow user

Главный вывод — не полагаться на то, что «маленький» символ или строка не принесут беды: при передаче входа от ненадёжных источников через несколько инструментов даже неочевидная каверза в парсинге может стать критической. Рекомендуется как можно скорее обновить OpenSSH или применить временные защитные меры в конфигурациях ProxyCommand и политиках Git.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru